インド企業がやらかした電子証明書の脆弱性

インド企業eMudhraが人為ミスで脆弱な電子証明書（中間CA）発行してしまったとのこと。

本来、秘密鍵は約384ビット（だいたい100桁以上の巨大なランダムな数字）でなければいけないのに、
中間CA証明書8本の秘密鍵が4、56、66、115、155、156、230、237という、わずか1桁〜3桁程度の小さな数字で発行。
このミスで1秒もかからずに偽の秘密鍵を作れるようになっています。
つまり任意のドメイン（グーグル、有名銀行、暗号資産取引所など）の「本物そっくりの正規証明書」を偽造できます。

その結果、以下の攻撃が起きます。

DNSを改ざんしたり、通信経路を乗っ取っとり可能。
HTTPS通信を盗聴・改ざん。
ログイン情報・Cookie・APIトークンを盗む。
偽サイトを「ブラウザが安全と認識する状態」で表示。
ソフトウェアのダウンロード内容を改ざん。

eMudhraの内部調査で、2025年4月の鍵生成セレモニーでスクリプトの不具合があり、
弱い鍵ペアが誤って使われてしまった人為ミスと公表。

Chrome、Firefox、Edge、Safariなどの主要ブラウザは、2026年10月17日以降に順次ブロック済みのようです（更新していればほぼ問題なしとのこと）。
ただ私のPCのEdgeは最新版なのに対応してないっぽいんですよね……。